ESMA gaat voor het eerst de bewaarkant van vergunde exchanges doorlichten
Toezichthouders in alle lidstaten onderzoeken samen hoe CASP's hun sleutels bewaren, incidenten opvangen en met externe leveranciers omgaan. Het onderzoek loopt tot medio 2027 en raakt precies het onderdeel waar klanten het minst van zien.
Wie zijn munten op een exchange laat staan, vertrouwt op iets wat hij niet kan controleren: de manier waarop dat bedrijf zijn sleutels bewaart. ESMA gaat daar nu voor het eerst gericht naar kijken.
Wat een Common Supervisory Action is
Een Common Supervisory Action is geen boete-actie en geen inspectie van één partij. Het is een gecoördineerd onderzoek waarbij de nationale toezichthouders, dus AFM, FSMA, BaFin, AMF, CNMV, CMVM, CONSOB, KNF en Finanstilsynet, dezelfde vragenlijst en dezelfde meetlat gebruiken. Zo wordt zichtbaar of een vergunning in het ene land in de praktijk hetzelfde betekent als in het andere.
Dit is de eerste keer dat ESMA dat instrument inzet op crypto. Aanleiding is de combinatie van MiCA en DORA, de Europese wet voor digitale weerbaarheid van financiële instellingen, die sinds 17 januari 2025 van toepassing is.
Waar precies naar gekeken wordt
ESMA noemt zeven onderwerpen: de risico's die inherent zijn aan DLT, de governance, het beheer en de opslag van sleutels, de controles rond transacties, het opsporen van en reageren op incidenten, de risico's van smart contracts, en de afhankelijkheid van externe leveranciers.
Dat laatste punt is stiller dan het klinkt. Veel vergunde aanbieders bewaren niet zelf, maar besteden de bewaring uit aan een gespecialiseerde partij. Als tien exchanges dezelfde onderaannemer gebruiken, is dat één storingspunt voor tien vergunningen tegelijk.
Een steekproef, geen volledige doorlichting
Belangrijk detail: de toezichthouders pakken een risicogebaseerde steekproef van vergunde CASP's, niet iedereen. Dat je favoriete exchange niet in het onderzoek zit, zegt dus niets over de kwaliteit van zijn bewaring. En omgekeerd: dat een partij wél wordt onderzocht, is geen aanwijzing dat er iets mis is.
De tijdlijn
Het onderzoek loopt vanaf de tweede helft van 2026 tot en met de eerste helft van 2027. Het eindrapport gaat in de tweede helft van 2027 naar de Raad van Toezichthouders van ESMA en bevat de bevindingen, de goede praktijken uit de sector, de zwakke plekken en aanbevelingen.
Concreet betekent dat: vóór 2028 verandert er voor jou als klant weinig zichtbaars. Wat er wel gebeurt, is dat aanbieders nu al hun documentatie op orde brengen omdat ze weten dat de vragenlijst eraan komt.
Wat je hieraan hebt
Twee dingen om te onthouden. Ten eerste: een MiCA-vergunning zegt dat een partij aan de regels voldoet op papier, en dit onderzoek gaat pas kijken of dat in de machinekamer ook zo werkt. Dat verschil is er dus, en het is nu officieel erkend.
Ten tweede: zolang dat rapport er niet ligt, blijft de oude vuistregel gelden. Wat je op een exchange laat staan, bewaart iemand anders. Wat je zelf bewaart, bewaar je zelf, met alle voor- en nadelen die daarbij horen.
Bronnen: ESMA persbericht van 8 juli 2026 over de Common Supervisory Action naar digitale operationele weerbaarheid van CASP's bij bewaring. Laatst gecontroleerd: 5 augustus 2026.